Jebakan QRIS Palsu di Masjid-masjid, Bagaimana Bisa Terjadi?

Masyarakat dikejutkan dengan munculnya video seorang pria mengganti kode QRIS beberapa kotak amal Masjid Nurul Iman, lantai 7, Blok M Square, Jakarta Selatan. Ternyata peristiwa serupa terjadi di Masjid Istiqlal Jakarta dan beberapa tempat ibadah di Jakarta Selatan. Apa yang sebenarnya modus penipuan ini?

Awalnya muncul aksi pria itu terekam oleh kamera CCTV dan beredar di media sosial. Salah satunya diunggah akun Instagram @jakartakota. Dalam video yang diunggah akun tersebut, tertulis peristiwa itu terjadi di Masjid Nurul Iman, lantai 7, Blok M Square, Jakarta Selatan.

Dalam rekaman CCTV yang beredar di media sosial, terlihat seorang pria berkacamata masuk ke dalam masjid sambil membawa stiker barcode QR Indonesian Standard (QRIS). Setelahnya, pria tersebut tampak menempelkan stiker barcode QRIS itu di atas kotak amal yang ada di dalam masjid tersebut.

“WASPADA “SCAN QRIS PALSU” DI KOTAK AMAL, GUNAKAN UANG TUNAI JIKA RAGU SAAT HENDAK SHODAQOH…,” demikian keterangan dalam unggahan akun Instagram @jakartakota_.

Ternyata modus serupa terjadi di beberapa masjid lain di Jakarta. Di masjid terbesar kelima di dunia, Masjid Istiqlal, Jakarta Pusat, sekitar 50 stiker barcode QRIS palsu ditemukan. “Iya lagi didalami. Ini abis tarawih tim akan turun ke Istiqlal,” kata Kapolres Metro Jakarta Pusat Kombes Komarudin saat dihubungi, Senin (10/4/2023).

Tak berselang lama, Polda Metro Jaya telah menangkap pelakunya. Tersangka penempel stiker kode QRIS, adalah MIML (39) merupakan eks karyawan salah satu bank Badan Usaha Milik Negara (BUMN).

“Latar belakang yang bersangkutan pernah bekerja di salah satu bank BUMN,” kata Direktur Reserse Kriminal Khusus Polda Metro Jaya, Kombes Pol Auliansyah Lubis saat konferensi pers di Jakarta. Namun Auliansyah belum bisa merinci lebih jauh mengenai latar belakang tersangka karena masih dalam pendalaman oleh penyidik. “Masih kita lakukan pengembangan dan pendalaman, karena tersangka baru kita ringkus pada Subuh hari ini, ” katanya, Selasa (11/3/2023)

Apa sebenarnya QRIS?

QRIS adalah singkatan dari Quick Response Indonesia Standard. Sederhananya, QRIS adalah kode QR yang dirancang sesuai dengan standar nasional Indonesia. Kode QR Standar Nasional ini diluncurkan oleh Bank Indonesia dan Asosiasi Sistem Pembayaran Indonesia (ASPI) pada 17 Agustus 2019.

Dulu, sebelum QRIS ditemukan, setiap aplikasi pembayaran digital di Indonesia memiliki kode QR masing-masing. Misalnya, jika ada 10 aplikasi pembayaran digital yang ingin digunakan, maka ada 10 jenis kode QR. Hal ini tentu sangat merepotkan.

QRIS juga menjadi salah satu dukungan yang diberikan Bank Indonesia untuk mendorong UMKM mengembangkan bisnis online. QRIS diharapkan dapat menawarkan kemudahan bertransaksi bagi UMKM dengan biaya per transaksi yang lebih rendah dibandingkan e-wallet. Biaya transaksi ini juga ditentukan dan disetujui oleh Bank Indonesia sehingga biaya yang dikeluarkan akan sama antara satu bisnis dengan bisnis lainnya.

Mengutip Duitku.com, QRIS memotong biaya cukup kecil yakni hanya 0,7 persen dari nominal pembelian/transaksi, Gopay sebesar 2 persen/transaksi, sementara OVO, LinkAja, Dana sebesar 1,5 persen + 0,15 persen (PPN)/transaksi. Sedangkan ShopeePay 1,5 persen/transaksi (MDR Shopee Pay akan berubah menjadi 2 persen mulai Maret 2022).

Saat ini Bank Indonesia (BI) mencatat, jumlah pengguna QRIS di Indonesia mencapai 28,75 juta hingga Desember 2022. Jumlah tersebut sudah bertambah 15,95 juta pengguna dibandingkan pada akhir tahun lalu. Selain itu, total pedagang (merchant) yang telah memakai QRIS tercatat sebanyak 22,7 juta merchant.

QRIS sangat bermanfaat bagi penjual dan pelanggan. BI memperkirakan jumlah pengguna QRIS semakin meningkat ke depannya. Ini tak lepas dari pulihnya aktivitas perekonomian setelah terdampak pandemi COVID-19.

Peningkatan mobilitas serta meningkatnya daya beli masyarakat membuat transaksi pembayaran naik, termasuk QRIS. Di samping itu, naiknya penggunaan QRIS karena prosesnya mudah dan didukung oleh ponsel. Lebih lanjut, BI telah bekerja sama dengan bank sentral Malaysia, Filipina, Singapura, Thailand, dan Jepang terkait interkoneksi QRIS. Dengan kerja sama tersebut, warga Indonesia bisa bertransaksi menggunakan QRIS saat pergi ke lima negara tersebut.

Saat ini, dengan QRIS, seluruh aplikasi pembayaran dari penyelenggara manapun baik bank dan non-bank yang digunakan masyarakat, dapat digunakan di seluruh toko, pedagang, warung, parkir, tiket wisata, hingga donasi (merchant). Bahkan beberapa lembaga amal, infaq dan sodaqoh sudah menggunakan QRIS untuk memudahan siapa saja yang hendak beramal.

Caranya untuk melakukan registrasi pun cukup mudah. Lembaga amal atau pengumpul sodaqoh seperti hal para penjual hanya perlu membuka rekening atau akun pada salah satu penyelenggara QRIS yang sudah berizin dari BI​. Selanjutnya, mereka sudah dapat menerima pembayaran dari masyarakat menggunakan QR dari aplikasi manapun penyelenggaranya.

QR Code itu yang Anda scan berisi nomor rekening. Dengan menyetujuinya berarti secara otomatis transaksi berjalan dengan cara tinggal mengkliknya saja. Nasabah hanya mendapatkan satu kali konfirmasi apakah benar mau transfer ke nama atau rekeneing tersebut. Kalau Anda memasukan PIN berarti transaksi langsung berjalan otomatis.

Melihat modus penipuan dengan mengganti kode QR di kotak amal masjid ini, para penderma harus lebih hati-hati. Hal ini mengingat kemungkinan adanya aksi sabotase QR code. Yang harus diperhatikan saat mengirim adalah harus yakin bahwa QR code tersebut adalah milik penerima saldo. Kalau penerima saldo adalah panitia pembangunan masjid, atau yayasan yatim piatu, pastikan dahulu penerimannya.

Ada beberapa potensi kejahatan pada pembayaran dompet digital karena QR code yang terpampang itu bisa disabotase dan diganti dengan QR code yang mengandung kode jahat atau kode orang lain. Canggihnya lagi biasanya si penipu ini sudah mempersiapkan segala sesuatnya, misalnya QR code itu akan otomatis mengunjungi situs web jahat yang memang sudah disiapkan untuk mengecoh calon korbannya. Seringkali namanya juga mirip-mirip atau disesuaikan dengan lembaga atau yayasan yang sebenarnya agar korban tertipu.

Kemampuan mengelabui

Perusahaan keamanan siber Kaspersky mengungkap penggunaan QR Code sebagai modus penipuan punya keunggulan khusus. Yakni, pengguna sulit memeriksa atau tak bisa tahu apa yang dimuat kode itu. “Orang tidak bisa begitu saja membaca kode QR atau memeriksa proses pemindaiannya, maka, pengguna hanya dapat mengandalkan integritas penciptanya,” menurut keterangan resminya.

Salah satu yang mungkin dilakukan oleh penipu bermodus Kode QR adalah mengarahkan korban ke situs phishing atau pembobol data pribadi. Bantuknya, mengarahkan ke situs halaman login medsos atau bank. “Itulah mengapa pakar keamanan di Kaspersky menyarankan untuk selalu memeriksa tautan sebelum mengetuk atau mengeklik. Kode QR, bagaimanapun, tidak memberikan aksesibilitas seperti itu,” ujar Kaspersky.

Yang membuat modus ini lebih sulit dilacak adalah penyerang sering menggunakan tautan (link) pendek, “sehingga lebih sulit untuk menemukan yang palsu saat ponsel cerdas meminta konfirmasi.” Jika skenarionya lancar, penipu bisa membuat korban yang mengklik QR Code malah mengunduh malware atau program jahat. “Pada titik itu, malware dapat mencuri kata sandi, mengirim pesan berbahaya ke kontak Anda, dan masih banyak lagi.”